Exposé des motifs Le présent projet de loi se propose de mettre en œuvre une partie du règlement (UE) 2024/1183 du Parle

Exposé des motifs Le présent projet de loi se propose de mettre en œuvre une partie du règlement (UE) 2024/1183 du Parlement européen et du Conseil du 11 avril 2024 modifiant le règlement (UE) n° 910/2014 en ce qui concerne l’établissement du cadre européen relatif à une identité numérique. Il y a lieu de noter que le texte proposé concerne les dispositions du règlement (UE) 2024/1183 relatives au développement et à la fourniture de l’outil d’un portefeuille numérique.

1. Informations générales sur le portefeuille européen d’identité numérique (EUDI Wallet) Le règlement (UE) 2024/1183, communément appelé eIDAS 2.0, et entré en vigueur le 20 mai 2024, établit un cadre juridique harmonisé pour l’identité numérique dans l’Union européenne, visant à garantir à chaque citoyen, résident et entreprise, un accès à une identité numérique sécurisée, interopérable et reconnue à l’échelle de l’Union. Au cœur de cette réforme figure le portefeuille européen d’identité numérique (EUDI Wallet). Le portefeuille EUDI, qui est un outil numérique personnel fiable, contient des données d’identité vérifiées (noms, prénoms, date de naissance etc.) et permet aux utilisateurs de stocker, gérer et partager, de manière sécurisée et volontaire, des données d’identification personnelle et des attestations électroniques, telles que la carte d’identité, le permis de conduire, des certificats et des diplômes, facilitant ainsi l’identification et l’authentification en ligne. L’utilisateur peut se connecter à des services (banques, administrations, universités, etc.) sans avoir à créer de nouveaux comptes. Les États membres de l’Union sont tenus de développer et de fournir une ou plusieurs solutions nationales du portefeuille européen, en veillant à leur conformité avec les exigences du règlement européen. Les solutions nationales devront être opérables avec celles mises en place dans l’ensemble des autres États membres, et faciliteront à leurs utilisateurs l’accès aux services publics et privés. En outre, la Commission européenne a publié un certain nombre d’actes d’exécution afin d’établir des normes de référence et des spécifications techniques pour assurer une mise en œuvre cohérente à travers l’Union. En assurant que les identités numériques émises dans un État membre soient reconnues et acceptées dans tous les autres, le règlement (UE) 2024/1183 cherche à renforcer la confiance des citoyens européens dans cette identité dématérialisée. Afin de consolider la cohésion du marché numérique européen, le règlement eIDAS 2.0 définit des règles de gouvernance précises, et met en place une séparation des rôles du fournisseur du portefeuille et de l’organe de contrôle. Le règlement eIDAS 2.0 met en avant la sécurité et, en parallèle, la protection des données. En effet, les portefeuilles doivent être conçus avec des mesures de sécurité avancées, garantissant la confidentialité et l’intégrité des données personnelle, en conformité avec le RGPD. Par ailleurs, l’utilisation du portefeuille est volontaire et gratuite. L’utilisateur a un contrôle total sur ses données, pouvant choisir quelles informations partager et avec qui. Il peut partager uniquement les données nécessaires, par exemple prouver que son âge est au-delà d’un certain seuil, sans pour autant révéler sa date de naissance. En outre, les portefeuilles doivent être accessibles aux personnes handicapées, garantissant ainsi une utilisation équitable pour tous les citoyens. 1 Un aspect central du portefeuille est la signature électronique qualifiée. Elle a la même valeur légale qu'une signature manuscrite dans tous les pays de l’UE. Grâce au portefeuille, l’utilisateur peut signer, en toute sécurité, des contrats, des formulaires ou des documents administratifs à distance. Cette signature repose sur des certificats délivrés par des prestataires certifiés. Le portefeuille garantit en effet que seul l’utilisateur peut initier la signature. En plus, les données qu’un utilisateur veut partager, sont lues par des solutions de lecture, applications mobiles ou autres, que les parties utilisatrices mettront en place en fonction de leurs besoins. A cette fin, les logiciels servant de base aux différentes solutions nationales du portefeuille sont « open source ». Ce partage de données, à l’initiative de l’usager, et à partir de l’unité de portefeuille de ce dernier, vers une solution de lecture utilisée par la partie utilisatrice, fonctionnera pour l’ensemble des solutions nationales mises sur le marché par les États membres. Afin de garantir la conformité des portefeuilles aux normes techniques et de cybersécurité, établies par la Commission européenne, les versions nationales du portefeuille doivent être certifiées par des organismes accrédités. a. La fourniture du portefeuille En premier lieu, chaque État membre est tenu de proposer au moins une version nationale du portefeuille européen d’identité numérique certifié à ses ressortissants, aux résidents ainsi qu’aux personnes morales ayant leur siège sur le territoire de cet État membre. Au Luxembourg, c’est le Centre des technologies de l’information de l’État (CTIE) qui est le fournisseur de la solution nationale du portefeuille européen d’identité numérique. Le portefeuille doit être mis à disposition gratuitement pour les fonctions de base, comme identification, signature, et preuve d’attributs, et il devra être délivré ou autorisé par une autorité publique ou un prestataire agréé. En outre, les États membres ont l’obligation d’assurer la fiabilité juridique des données intégrées au portefeuille. A cette fin, les États doivent : - vérifier, certifier et intégrer les données d’identité (noms, prénoms, date et lieu de naissance, nationalité, etc.), délivrer ou permettre l’intégration d’attestations électroniques d’attributs (p.ex. carte d’identité, permis de conduire, diplômes, titres professionnels, …), garantir que ces données soient liées à la bonne personne de façon sécurisée. Cette obligation de garantir la fiabilité juridique des données nécessite la mise en place d’une infrastructure technique conforme. Ainsi, chaque version nationale du portefeuille doit être interopérable à l’échelle de l’UE, respecter les normes européennes communes relatives à l’interopérabilité, la cybersécurité et la confidentialité, et disposer d’un système d’identité techniquement compatible avec les systèmes d’identité des autres États membres, ce qui implique aussi l’obligation, pour chaque État membre, de participer à des tests interétatiques. 2 Chaque État membre est tenu d’accepter et de reconnaître les portefeuilles certifiés des autres États membres, sans demander de procédure ou validation supplémentaire, pour l’accès à ses services publics d’une part, et l’accès aux services essentiels du secteur privé (banques, logement, santé, etc.) d’autre part. Finalement, pour disposer d’une unité de portefeuille en son nom, l’utilisateur doit s’enrôler. L’enrôlement de l’utilisateur est le processus qui consiste d’une part en l’installation d’une application sur un appareil contrôlé par l’utilisateur et d’autre part en l’obtention des données d’identification personnelle. b. Les données d’identification personnelle L’organisme fournissant les données d’identification personnelle aux personnes physiques et morales est le CTIE. Les données d’identification personnelle sont importantes dans le cycle de vie du portefeuille en ce sens qu’elles permettent, pour chaque utilisateur, personne physique ou morale, l’initialisation de son unité de portefeuille. Pour les personnes physiques, le CTIE a recours au registre national des personnes physiques (RNPP) pour fournir leurs données d’identification personnelle. En effet, le registre national est la source authentique, qui garantit l'authenticité des données d'identification des personnes physiques. Et c’est le CTIE qui est chargé de la gestion de ce registre. Les données d’identification personnelle sont les nom et prénoms, la date et le lieu de naissance, ainsi que la nationalité. A ces données s’ajoute un numéro administratif personnel, qui aura la forme d’une version pseudonymisée du numéro d’identification national. En ce qui concerne les personnes morales, le CTIE extrait les données d’identification personnelle du répertoire national. Ensuite, les données d’identification personnelle d’un utilisateur déterminé sont associées à son unité de portefeuille. Le CTIE met en place un identifiant pour chaque jeu de données d’identification personnelle, et un identifiant pour chaque unité de portefeuille. Ces identifiants ont pour finalité de rendre chaque jeu de données d’identification personnelle et chaque unité de portefeuille uniques afin de pouvoir les distinguer et de les stocker. Finalement, un registre dédié, et séparé de tout autre registre contenant des données à caractère personnel, est créé afin d’y conserver les informations nécessaires à la gestion des données d’identification personnelle. Il y aura un tel registre pour les personnes physiques, et un autre pour les personnes morales.
2. La notion d’identité numérique L’identité numérique constitue la notion phare du règlement eIDAS 2.
3. L’identité numérique, intégrée dans le EUDI Wallet par les données d’identification personnelle, est susceptible de servir comme preuve électronique de l’identité officielle d’un citoyen ou d’une société. 3 L’identité numérique, à condition d’être intégrée dans un portefeuille, prouve l’identité de l’utilisateur partout dans l’Union européenne. Elle est valable dans l’État émetteur, ainsi que dans tout autre État membre, sans qu’aucune base juridique nationale supplémentaire ne soit requise pour sa reconnaissance. Elle peut ainsi être utilisée dans les démarches administratives, juridiques ou commerciales suivantes, la liste n’étant pas exhaustive : s’inscrire dans une université étrangère, ouvrir un compte bancaire en ligne, louer un logement ou signer des contrats électroniquement. Pour bénéficier de cette reconnaissance automatique, l’identité numérique doit être établie par une autorité nationale compétente. Au Luxembourg, cette mission a été confiée au CTIE. De surcroît, elle doit être intégrée dans un portefeuille certifié, conforme aux spécifications européennes, ce qui garantit que les données d’identité ont été authentifiées et vérifiées de manière sécurisée. En pratique, cela signifie qu’un citoyen ressortissant d’un État membre de l’Union peut prouver son identité à distance dans un autre pays de l’Union européenne, sans n’avoir besoin de fournir de document physique, ni de disposer d’une loi spécifique dans le pays d’accueil qui reconnaît cette carte : le règlement eIDAS 2.0 oblige tous les États membres à l’accepter.
4. Les attestions électroniques d’attributs L’attestation électronique d’attributs est un document numérique, signé électroniquement par un prestataire qualifié ou une autorité compétente, qui permet d’attester officiellement certains attributs d’une personne physique ou morale. Ces attributs peuvent être, par exemple, les noms et prénoms, l’adresse, l’âge, la dénomination sociale pour une société… Les attestations électroniques d’attributs délivrées par le secteur public sont émises par le CTIE ou par l’organisme du secteur public responsable de la source authentique, qui contient les données à la base du document émis. Parmi les attestations électroniques d’attributs, l’on peut citer, sans être exhaustif, la carte d’identité, le permis de conduire, la carte de sécurité sociale, un certificat de résidence ou un extrait de casier judiciaire. Une disposition importante du règlement eIDAS 2.0 est l’article 45 ter relatif aux effets juridiques de l’attestation électronique d’attributs, qui se veut de créer une équivalence entre l’effet juridique d’une attestation électronique d’attributs qualifiée et des attestations d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte, ET les attestations délivrées légalement sur papier. En ce qui concerne la validité juridique automatique des attestations électroniques, cela signifie que tout document administratif officiel (par exemple une attestation de la carte d’identité, d’état civil, du permis de conduire, d’une autorisation administrative, d’un diplôme) intégré dans le portefeuille et émis par une autorité compétente, est juridiquement valable, sans qu’il ne soit nécessaire d’ajouter une base juridique nationale supplémentaire pour le reconnaître. Ainsi, l’attestation électronique d’attributs ne peut pas être rejetée au seul motif qu’elle est dématérialisée. Il y a lieu de noter que tout document numérique n’est pas automatiquement valide. Pour avoir les mêmes effets juridiques qu’un document papier, il doit être émis par une autorité compétente ou respecter les critères de qualification. A titre d’exemple, un document auto-créé ou provenant d’une source non autorisée n’aurait pas la même force. 4 Au Luxembourg, comme dans tous les autres États membres de l’Union, l’intégration de documents administratifs dans la version nationale du portefeuille numérique ne nécessitera donc pas l’adaptation des textes législatifs ou réglementaires en vigueur.
5. Organismes en charge par la loi sous projet Le texte proposé vise à compléter les dispositions du règlement (UE) 2024/1183 relatives au portefeuille européen d’identité numérique inscrites dans l’ordre juridique national, en organisant la mise à disposition, la délivrance et la gestion du portefeuille numérique et en garantissant la conformité avec les exigences en matière de cybersécurité, d’interopérabilité et de fiabilité. Plus précisément, le présent projet prévoit notamment : • • • • • • La désignation du CTIE comme fournisseur national du portefeuille européen d’identité numérique, chargé du développement, de la gestion technique et de la maintenance du dispositif ; La désignation de l’Institut luxembourgeois de régulation (ILR) comme organe de contrôle, notamment pour les obligations de sécurité, d’interopérabilité et de conformité technique ; La désignation de la Commission nationale pour la protection des données comme autorité de contrôle en matière de protection des données à caractère personnel ; La désignation du Commissariat du Gouvernement à la protection des données à caractère personnel auprès de l’État (CGPD) comme bureau d’enregistrement des parties utilisatrices ; La désignation de l’Office luxembourgeois d’accréditation et de surveillance comme organisme chargé de l’accréditation des organismes de certification ; La désignation du ministre ayant la digitalisation dans ses attributions comme point de contact unique.
6. Le bureau d’enregistrement Les États membres sont tenus de désigner un organisme chargé d’établir et de tenir à jour la liste des parties utilisatrices enregistrées, qui se fient aux portefeuilles européens d’identité numérique. Le CGPD, en sa qualité de bureau d’enregistrement, a pour attribution d’enregistrer les parties utilisatrices qui ont l’intention de recourir à des portefeuilles européens d’identité numérique pour la fourniture de services publics ou privés au moyen d’une interaction numérique. Il a la charge de s’assurer de l’application des mesures et modalités concernant l’enregistrement des parties utilisatrices. Parmi les missions du bureau d’enregistrement, l’on peut citer, à titre d’exemples, l’élaboration de la politique et des procédures nationales d’enregistrement, l’établissement de la liste des parties utilisatrices de portefeuille enregistrées, la réalisation des vérifications liées aux parties utilisatrices de portefeuille et à l’utilisation du portefeuille par les parties utilisatrices, ou encore l’approbation, la modification, la suspension ou l’annulation de l’enregistrement d’une partie utilisatrice. 5
7. L’organe de contrôle La loi sous projet confie à l’ILR la responsabilité de contrôler à la fois le fournisseur de la solution nationale du portefeuille, et le produit fourni. Le contrôle exercé par l’ILR à l’égard du CTIE et du portefeuille qu’il propose, peut prendre la forme d’activités de contrôle, ex ante et ex post, et détaille la nature des mesures de contrôle que l’organe de contrôle est libre de prendre. Ces mesures visent à garantir que le CTIE respecte les obligations prévues par le règlement (UE) 2024/1183 et le présent projet. Parmi les activités de contrôle que l’organe de contrôle peut exercer, l’on peut citer les inspections sur place, les contrôles à distance ou les audits de conformité. L’organe de contrôle peut également prendre des mesures d’exécution ex post basées sur des éléments de preuve, des indications ou des informations indiquant une possible violation du projet de loi. Les mesures d’exécution peuvent par exemple prendre la forme d’une ordonnance faite au fournisseur de mettre un terme à des comportements violant le règlement (UE) n° 910/2014 ou la loi sous projet, ou de l’ordonnance faite au fournisseur de garantir la conformité de ses mesures de gestion des risques. Dans l’hypothèse où les mesures d’exécution s’avèrent sans effets, l’ILR a la possibilité de fixer un délai, qui ne peut être supérieur à trois mois, dans lequel le fournisseur doit remédier aux irrégularités étant à l’origine des mesures d’exécution imposées. Si le fournisseur n’y donne pas suite, l’ILR peut prendre une ou plusieurs sanctions, telles qu’un avertissement, un blâme ou une amende administrative.
8. Modification de la loi modifiée du 19 juin 2013 relative à l’identification des personnes physiques. Les modifications suivantes sont prévues : - - l’ajout du numéro administratif personnel, contenu dans les données d’identification personnelle d’une unité de portefeuille, à la liste des données qui sont conservées dans le registre RNPP ; l'ajout d’un membre qui représente le Commissariat du Gouvernement à la protection des données auprès de l'État à la listes des membres représentées dans la commission du registre national ; et la fourniture d’office du moyen d’identification dans la carte d’identité et la durée de validité égale à celle de la carte d’identité. 6